Cheat Sheet delle Credenziali Predefinite

Un unico posto per tutte le credenziali predefinite per assistere pentester/Blue Team durante gli impegni, con dettagli di login/password predefiniti per vari prodotti provenienti da più fonti.

P.S : La maggior parte delle credenziali sono state estratte dai progetti changeme, routersploit e Seclists, puoi usare questi strumenti per automatizzare il processo https://github.com/ztgrace/changeme , https://github.com/threat9/routersploit (complimenti per l'ottimo lavoro)

Progetto in corso

Motivazione

Un unico documento per le credenziali predefinite dei vendor più conosciuti
Assistere i pentester durante un impegno di pentest/red team
Aiutare i Blue Team a proteggere gli asset infrastrutturali dell'azienda scoprendo questa falla di sicurezza per mitigarla. Vedi Guida OWASP [WSTG-ATHN-02] - Testing_for_Default_Credentials

Brevi statistiche del dataset

Fonti

Changeme
Routersploit
betterdefaultpasslist
Seclists
ics-default-passwords (grazie a @noraj)
Documentazioni/blog dei vendor

Installazione e Utilizzo

Lo strumento Default Credentials Cheat Sheet è disponibile su pypi

$ pip3 install defaultcreds-cheat-sheet
$ creds search tomcat

Sistema Operativo	Testato
Linux(Kali,Ubuntu,Lubuntu)	✔️
Windows(10,11)	✔️
macOS	✔️

Installazione Manuale

$ git clone https://github.com/ihebski/DefaultCreds-cheat-sheet
$ pip3 install -r requirements.txt
$ cp creds /usr/bin/ && chmod +x /usr/bin/creds
$ creds search tomcat

Script Creds

Guida all'Uso

# Search for product creds
➤ creds search tomcat
+----------------------------------+------------+------------+
| Product                          |  username  |  password  |
+----------------------------------+------------+------------+
| apache tomcat (web)              |   tomcat   |   tomcat   |
| apache tomcat (web)              |   admin    |   admin    |
...
+----------------------------------+------------+------------+

# Update records
➤ creds update
Check for new updates...🔍
New updates are available 🚧
[+] Download database...

# Export Creds to files (could be used for brute force attacks)
➤ creds search tomcat export
+----------------------------------+------------+------------+
| Product                          |  username  |  password  |
+----------------------------------+------------+------------+
| apache tomcat (web)              |   tomcat   |   tomcat   |
| apache tomcat (web)              |   admin    |   admin    |
...
+----------------------------------+------------+------------+

[+] Creds saved to /tmp/tomcat-usernames.txt , /tmp/tomcat-passwords.txt 📥

Esegui creds attraverso un proxy

# Search for product creds
➤ creds search tomcat --proxy=http://localhost:8080

# update records
➤ creds update --proxy=http://localhost:8080

# Search for Tomcat creds and export results to /tmp/tomcat-usernames.txt , /tmp/tomcat-passwords.txt
➤ creds search tomcat --proxy=http://localhost:8080 export

Opzione Proxy è disponibile solo dalla versione 0.5.2

Pass Station

noraj ha creato un CLI e una libreria per cercare credenziali predefinite in questo database usando DefaultCreds-Cheat-Sheet.csv. Lo strumento si chiama Pass Station (Doc) e ha alcune potenti funzionalità di ricerca (campi, flag, regexp, evidenziazione) e output (tabella semplice, tabella elegante, JSON, YAML, CSV).

Contribuisci

Se non trovi la password per un prodotto specifico, invia una pull request per aggiornare il dataset.

Esclusione di responsabilità

Solo per scopi educativi, usalo a tua responsabilità.

conteggio	3711	3711	3711
unici	1398	1121	1680
top	Oracle
frequenza	235	814	479

Più Popolari

DefaultCreds-cheat-sheet